Auftragsverarbeitungsvertrag (AVV)

Vertrag nach Art. 28 DSGVO. Er ist Anlage zu den AGB und wird mit derselben Zustimmung geschlossen. Fassung vom 2026-07-24.

Parteien

Verantwortlicher („Kunde“): der Betrieb, der CultiNode nutzt — benannt mit Firmenname und Anschrift, wie sie bei der Zustimmung im Betrieb hinterlegt wurden. Der Nachweis der Zustimmung samt diesen Angaben ist im Betrieb unter „Einstellungen → Betrieb“ einsehbar.

Auftragsverarbeiter („Anbieter“): Hoffrucht GmbH, Schlagenstraße 19d, 4810 Gmunden, Österreich.

§ 1 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden im Rahmen der Nutzung der Software CultiNode. Der AVV gilt für die Laufzeit des Hauptvertrags.

§ 2 Art, Umfang, Zweck der Verarbeitung

Art und Zweck ergeben sich aus der Bereitstellung der SaaS-Anwendung. Näheres regelt Anlage 1.

§ 3 Weisungsrecht

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen erfolgen in der Regel durch die Nutzung der Anwendung; darüber hinausgehende Weisungen in Textform (E-Mail genügt).

§ 4 Vertraulichkeit

Der Anbieter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

§ 5 Technische und organisatorische Maßnahmen (TOMs)

Der Anbieter trifft die in Anlage 2 beschriebenen TOMs nach Art. 32 DSGVO.

§ 6 Sub-Auftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der in Anlage 3 genannten Sub-Auftragsverarbeiter zu.

(2) Der Anbieter informiert den Kunden über beabsichtigte Änderungen; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Der Anbieter verpflichtet Sub-Auftragsverarbeiter auf ein gleichwertiges Datenschutzniveau.

§ 7 Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Kunden im angemessenen Rahmen bei der Beantwortung von Betroffenenanfragen (Art. 15–22 DSGVO) sowie bei Pflichten nach Art. 32–36 DSGVO.

§ 8 Meldung von Datenschutzverletzungen

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

§ 9 Löschung / Rückgabe

(1) Nach Beendigung der Erbringung der Verarbeitungsleistung löscht der Anbieter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie – nach Wahl des Kunden – zurück, und zwar unverzüglich, spätestens innerhalb von 30 Tagen nach Vertragsbeendigung (kurze Übergangsfrist zur Datenmitnahme durch den Kunden), sofern keine gesetzliche Aufbewahrungspflicht des Anbieters entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Datensicherungen (Backups) in den Systemen des Anbieters dürfen so lange bestehen bleiben, wie es der reguläre Backup-Zyklus vorsieht; sie werden turnusmäßig überschrieben und in dieser Zeit nicht zu anderen Zwecken verwendet.

§ 10 Nachweise / Kontrolle

Der Anbieter stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Rahmen.

Anlage 1 — Art, Zweck, Datenkategorien, Betroffene

• Zweck: Bereitstellung/Betrieb der SaaS-Anwendung CultiNode.
• Art der Verarbeitung: Erheben, Speichern, Anzeigen, Auswerten, Löschen.
• Kategorien personenbezogener Daten: Nutzerkonten (Name, E-Mail, verschlüsseltes Passwort, Rolle), Nutzungs-/Protokolldaten (Zeitstempel, Aktionen). Keine besonderen Kategorien (Art. 9 DSGVO).
• Kategorien betroffener Personen: Mitarbeiter/Nutzer des Kunden, ggf. externe Berater mit Zugang.

Anlage 2 — Technische und organisatorische Maßnahmen

• Verschlüsselung bei der Speicherung (at rest): Verschlüsselung der Datenbank nach Stand der Technik (AES-256) beim eingesetzten Infrastruktur-Anbieter.
• Verschlüsselung bei der Übertragung (in transit): durchgängige Transportverschlüsselung (TLS 1.2+ / HTTPS).
• Zugangskontrolle: individuelle Nutzerkonten; Passwörter nur verschlüsselt (gehasht) gespeichert; Zwei-Faktor-Authentifizierung für administrative Zugänge zur Infrastruktur.
• Zugriffskontrolle: rollenbasierte Berechtigungen, mandantengetrennte Daten (Row-Level-Security), Trennung nach Kunde.
• Rechenzentren: Einsatz nach ISO/IEC 27001 zertifizierter Rechenzentren der eingesetzten Anbieter, Standort EU.
• Verfügbarkeitskontrolle: regelmäßige Backups (täglich, EU-Rechenzentrum), Monitoring/Uptime-Überwachung.
• Trennungskontrolle: logische Mandantentrennung je Kunde.
• Datenschutz durch Technikgestaltung: Fehler-Monitoring ohne personenbezogene Detaildaten.

Anlage 3 — Sub-Auftragsverarbeiter